Multiconta: como uma pessoa vira mil usuários na base

Multiconta é a fraude em que um operador cria centenas de cadastros formalmente válidos para multiplicar benefício, escapar de limite ou reaparecer depois de um bloqueio. Cada cadastro passa na validação de entrada. O problema não está no documento, está na repetição.

Essa é a categoria de fraude que mais confunde equipes de risco, porque ela não deixa o sinal clássico. Não há documento falsificado, não há selfie adulterada, não há divergência cadastral. Há pessoas reais, documentos reais e cadastros corretos, montados em escala por quem sabe exatamente onde o seu fluxo para de olhar.

O contexto ajuda a dimensionar. Levantamento sobre tentativas de fraude de identidade divulgado pelo Central do Varejo em 31 de agosto de 2026 apontou 2.860.957 tentativas em processos de cadastro e validação de identidade no primeiro semestre do ano, alta de 32,9% sobre o mesmo período de 2025, e o varejo foi o segmento que mais cresceu, com alta de 120,7%. Nem toda tentativa depende de documento falso: a multiconta usa identidades verdadeiras, repetidas em escala.

Como o esquema é montado

O operador de multiconta trabalha com três insumos separados, e trata cada um como estoque.

O primeiro é a identidade. Pode vir de documentos cedidos por pessoas reais mediante pagamento, de bases vazadas ou de círculos familiares e comunitários. Nos três casos a identidade existe e resiste a qualquer consulta cadastral, porque ela é verdadeira.

O segundo é o canal. Chips pré-pagos comprados em lote, caixas de e-mail geradas em massa, números virtuais. Serve para separar os cadastros uns dos outros aos olhos do sistema.

O terceiro é a infraestrutura. Um computador que roda dezenas de perfis de navegador isolados, um aparelho com contêineres de aplicativo, uma rota de saída que troca o endereço de rede a cada sessão, ou uma fazenda de aparelhos de verdade quando a operação tem escala.

A montagem segue um ritmo que também é parte do esquema: cadastros distribuídos ao longo de semanas, um comportamento inicial normal em cada conta e o uso real concentrado num momento posterior. Quando a conta finalmente faz o que foi criada para fazer, o cadastro já tem idade e histórico limpo.

Por que a validação de entrada não resolve sozinha

Validação de entrada responde a uma pergunta sobre o indivíduo: essa pessoa é quem diz ser? Multiconta é uma pergunta sobre o conjunto: esses mil cadastros são mil pessoas independentes?

São perguntas diferentes, e a segunda não é respondível olhando um cadastro por vez. Mil cadastros corretos formam uma base contaminada quando estão ligados entre si por um fio que o cadastro individual não mostra.

É por isso que operações com verificação documental rigorosa continuam sendo drenadas. O rigor está apontado para o lugar certo e para a pergunta errada.

Os sinais que denunciam repetição

A tabela reúne os sinais mais usados, o que cada um entrega e onde cada um falha. Nenhum deles decide sozinho.

• Risco de dispositivo (identificação persistente do aparelho e do navegador). O que ele mostra: Cadastros diferentes originados do mesmo aparelho ou do mesmo perfil de ambiente. Onde ele falha: Perde força contra fazenda de aparelhos físicos distintos.
• Endereço de rede e tipo de conexão. O que ele mostra: Concentração de cadastros em saída de dados incomum para o perfil declarado. Onde ele falha: Rede móvel compartilha endereço entre muitos usuários legítimos.
• Grafo de atributos de contato. O que ele mostra: Reaproveitamento de variações de e-mail, telefone e endereço entre contas. Onde ele falha: Operadores maduros usam insumos únicos por conta.
• Padrão temporal de cadastro. O que ele mostra: Cadência de criação regular demais para ser humana. Onde ele falha: Diluir no tempo é a contramedida mais barata.
• Biometria comparada entre contas. O que ele mostra: Mesma pessoa aparecendo em cadastros com documentos diferentes. Onde ele falha: Exige base biométrica própria e política de retenção definida.
• Comportamento dentro do produto. O que ele mostra: Contas distintas repetindo sequência idêntica de ações e horários. Onde ele falha: Só aparece depois do cadastro, no uso.

A leitura correta é de sobreposição. Um dispositivo repetido pode ser um computador de casa usado por marido e mulher. Dispositivo repetido, mais cadência regular, mais reaproveitamento de variação de e-mail, mais comportamento idêntico é outra coisa.

Como isso aparece em cada setor

Em marketplace, o padrão é o vendedor removido que retorna em dias com CNPJ novo, endereço de retirada parecido e mesmo aparelho de operação. Em telecom e ISP, é a ativação em lote de linhas com documentos cedidos, seguida de inadimplência coordenada. Em plataforma P2P, é o anel de contas que negocia entre si para construir reputação antes de aplicar o golpe em usuário legítimo.

O que fazer quando o cadastro já passou

Aqui está o centro do problema. Se a única barreira é a entrada, você só tem duas opções depois: aceitar ou banir. Nenhuma das duas é boa contra multiconta, porque banir a conta que você viu deixa as outras novecentas.

A arquitetura que funciona olha para o ciclo de vida inteiro da conta e trata a verificação como algo que pode ser chamado de novo, em momentos escolhidos:

• Quando o dispositivo de acesso muda de forma incompatível com o histórico.
• Quando a conta passa de dormente a ativa com volume relevante.
• Quando o valor movimentado sai da faixa declarada no cadastro.
• Quando o sistema identifica ligação entre contas que deveriam ser independentes.

Nesses momentos, pedir uma prova de vida ou uma reconfirmação de titularidade custa pouco, protege a base e produz registro. A fricção aplicada nesse ponto é evidência de rigor, não obstáculo: ela recai sobre quem está em situação atípica, e o usuário comum sequer a encontra. A comparação entre os sinais que sustentam esse encaminhamento está em device fingerprint, IP e comportamento. Vale ler também abuso de bônus e promoção, porque as duas fraudes compartilham o mesmo estoque de identidades.

O que fazer agora

1. Rode uma contagem de contas por identificador de dispositivo nos últimos 180 dias e olhe a cauda: quantos aparelhos concentram cinco cadastros ou mais.
2. Cruze contas ativas por sobreposição de atributos de contato normalizados, removendo pontos, sinais e sufixos antes de comparar.
3. Defina quatro eventos de reverificação e implemente pelo menos um deles neste trimestre, com registro do desfecho.
4. Meça quanto do seu volume de benefício, crédito promocional ou limite inicial foi consumido por contas que compartilham dispositivo.
5. Separe no relatório de risco as duas perguntas: fraude de identidade e fraude de repetição. Elas exigem controles diferentes.

Perguntas frequentes

Multiconta é fraude mesmo quando os documentos são verdadeiros? Sim. O ilícito está no uso: burlar limite, multiplicar benefício destinado a um titular ou retornar após bloqueio. Os documentos serem verdadeiros é justamente o que torna a detecção por validação de entrada insuficiente.

Dá para detectar multiconta só com risco de dispositivo? Não de forma confiável. A identificação de dispositivo é um sinal produtivo, mas cai diante de fazendas com aparelhos físicos distintos. A detecção consistente vem da sobreposição de dispositivo, rede, atributos de contato e comportamento.

Bloquear todas as contas ligadas ao mesmo aparelho é seguro? Não como regra automática. Computadores e aparelhos compartilhados existem em casas, empresas e lan houses. O caminho previsível é encaminhar o conjunto para reverificação e decidir com mais de um sinal.

Como saber se minha base já está contaminada? Comece contando contas por dispositivo e por atributos de contato normalizados. Se poucos identificadores concentram muitos cadastros, existe repetição a investigar, ainda que nem toda repetição seja fraude.

Em que momento pedir prova de vida sem afetar o usuário comum? Em eventos atípicos: troca de aparelho fora do padrão, conta dormente que volta com volume alto, movimentação fora da faixa declarada. O usuário comum raramente cruza esses gatilhos.

Para avaliar como isso se aplica à sua operação, fale com o time comercial da Shiel ID.